GitHub يترك مستودعاً مزيّفاً ببرمجيات خبيثة ثلاثة أسابيع ويحذفه بعد Hacker News

أمضى المطوّر Andy Brice 23 يوماً في محاولة إقناع GitHub بإزالة مستودع ينسخ اسم منتجه وشعاره ويوزّع مثبّتاً لنظام Mac مصنّفاً كبرمجية خبيثة. اختفت الصفحة بعد نحو عشر دقائق من وصول تدوينته عن القصة إلى الصفحة الرئيسية لموقع Hacker News.

مستودع مزيّف

يطوّر Brice برنامج Easy Data Transform، وهي أداة لمعالجة البيانات تُباع بترخيص تجاري. في 31 أغسطس تلقى رسالة من أحد العملاء اكتشف نسخة مقلّدة من البرنامج على GitHub. كان المستودع يستخدم اسم المنتج وشعاره دون إذن، ويعرض ملف .dmg لنظام Mac للتنزيل.

في اليوم نفسه أبلغ GitHub بأن المستودع مقلَّد. ولم يتلقَّ سوى رسالة آلية من فريق الدعم.

برمجية خبيثة داخل صورة القرص

فحص أحد زملائه ملف .dmg عبر VirusTotal فحصل على قائمة طويلة من اكتشافات البرمجيات الخبيثة. وعند تفحّص الملف ببرنامج Isobuster تبيّن أن صورة الخلفية داخل ملف القرص قد استُبدلت: الرسم الجديد يدعو كل من يفتح الملف إلى تجاهل التحذيرات من البرمجيات الخبيثة.

أرسل Brice هذه الأدلة إلى GitHub في 10 سبتمبر. لم يتغيّر شيء. وبحلول 23 سبتمبر لم يتلقَّ رداً يتجاوز الرسالة الآلية الأولى، وكانت خطوته التالية، بحسب ما كتب، طلب إزالة بموجب قانون DMCA.

اختفى في عشر دقائق

لم تكن هناك حاجة إلى طلب الإزالة. وصل المنشور إلى Hacker News في 24 سبتمبر، وبعد نحو عشر دقائق اختفى المستودع. ووصف Brice هذا التوقيت بأنه «مصادفة محضة» بسخرية واضحة، واستخلص النتيجة بنفسه: للحصول على أبسط دعم من GitHub عليك أن تصل إلى الصفحة الرئيسية لـ Hacker News.

لماذا يهم ذلك

يعترف Brice بأنه لا يتعاطف كثيراً مع من يثبّت نسخة مقرصنة من برنامجه وينتهي بجهاز مصاب. لكن المشكلة الأكبر هي انتحال الهوية: من يبحث عن اسم منتج مألوف قد يقع على مستودع يبدو رسمياً لكنه يوزّع مثبّتاً ضاراً.

نصيحته بسيطة: نزّل البرامج من موقع المطوّر كلما أمكن. وتُظهر الحادثة أيضاً مدى ضعف قناة الدعم المتاحة لمطوّر صغير تُستغل هوية منتجه على منصة كبيرة لاستضافة الشيفرة.